链家房地产某系统存在万能口令(泄漏大量员工信息)

漏洞详情

披露状态:

2014-04-12: 细节已通知厂商并且等待厂商处理中
2014-04-17: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

北京链家房地产万能口令,泄露大量员工信息。

详细说明:

网站地址:http://tc.homelink.com.cn/

链家学院,保存大量员工个人信息,和成绩信息。

2.jpg

漏洞证明:

用户名:admin 密码:admin' or '1'='1 直接登陆成功。

1.jpg



员工信息大量泄漏,截图如下:

QQ截图20140411114212.jpg

修复方案:

登陆时,数据库查询语句,存在SQL注入。

版权声明:转载请注明来源 矿主@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-04-12 14:49

厂商回复:

最新状态:

暂无


漏洞评价: